Der Newsletter-Entwurf hat gerade elf Vorschläge von ChatGPT bekommen, und keiner davon klingt mehr nach mir. Eigentlich wollte ich nur die Ankündigung für unser Sommerfest etwas lockerer formulieren, dabei hat sich eine Frage dazwischengeschoben, die ich seit meiner Ernennung zur internen KI-Verordnung-Beauftragten nicht mehr loswerde: Füttere ich hier gerade unsere Datenschutzregeln durch den Fleischwolf, nur weil ein Tool den Text peppiger macht? Als HR-Managerin eines 78-köpfigen Maschinenbau-Zulieferers in Düsseldorf ist interne Kommunikation mein täglich Brot, und seit dem Thema KI-Verordnung lese ich jeden Aushang zweimal, bevor er rausgeht. Kolleginnen aus anderen KMU fragen mich mittlerweile regelmäßig, wie wir das ohne eigene IT-Abteilung und ohne Beraterhonorar hinbekommen haben, und genau diese Fragen beantworte ich hier der Reihe nach.
Transparenz vorweg: In manchen Antworten verlinke ich Schulungen, die ich oder Kolleginnen selbst ausprobiert haben. Buchst du darüber, bekomme ich eine Provision, ohne dass sich dein Preis ändert, und ich nenne nur Angebote, von denen ich nach eigener Erfahrung überzeugt bin.
Zur Einordnung, bevor es losgeht: Eine Juristin bin ich nicht, ein IT-Profi auch nicht, sondern einfach die HR-Managerin, die den Hut aufhatte, als sonst niemand zuständig sein wollte. Was folgt, sind die Fragen, die mir Leserinnen und Leser am häufigsten schreiben, inklusive der Stellen, an denen ich selbst falsch lag.
Reicht eine Positiv-Liste für den Anfang?
Die erste Frage klingt fast immer gleich: Reicht eine simple Liste erlaubter Tools, oder ist das naiv? Meine ehrliche Antwort: Als Einstieg reicht sie, als Dauerlösung nicht. Der EU AI Act unterscheidet nach Risikostufen, und das meiste, was wir für Newsletter, Aushänge und interne Ankündigungen nutzen, fällt zum Glück nicht in die kritischen Kategorien. Wie diese Einstufung im Detail funktioniert, gehört an anderer Stelle ausführlich erklärt — hier reicht die Feststellung, dass Texte glätten etwas anderes ist als Mitarbeitende zu bewerten.
Trotzdem bleibt eine Positiv-Liste ohne echte Bestandsaufnahme nur ein Pflaster. Bei uns kam der Anstoß dafür aus der Kaffeeküche, als eine Kollegin mir beiläufig erzählte, sie habe die komplette Mitarbeiterliste durch ein Gratis-Tool gejagt, um Geburtstage nach Sternzeichen zu sortieren. Namen, Geburtsdaten, Abteilungszugehörigkeit — alles landete in irgendeiner Cloud, von der niemand wusste, wo die Server eigentlich stehen.
Genau in diesem Moment wurde mir klar: Verbote bringen nichts, wenn die Leute die Tools ohnehin auf dem privaten Handy weiternutzen. Also musste ich einen Weg finden, wie wir Sicherheitsrisiken durch KI im Büro minimieren ohne IT-Fachwissen aufzubauen, das wir schlicht nicht hatten. Eine grobe Inventur der im Alltag genutzten Tools war der eigentliche Anfang, nicht die Liste selbst.
Was ein teurer Online-Kurs nicht lösen konnte
Bevor die Positiv-Liste überhaupt stand, hatte ich einen anderen Versuch hinter mir, der nicht funktioniert hat, und den erwähne ich bewusst, weil er mich eine Weile zurückgeworfen hat. Gebucht hatte ich einen "Alles-in-einem-Tag"-Webinar-Kurs eines bekannten Anbieters, in der Hoffnung, danach fertige Antworten zu haben.
Die Inhalte waren fürs Konzernformat gemacht, voller Begriffe aus Unternehmen mit eigener Rechtsabteilung und Datenschutzbeauftragtem in Vollzeit. Für einen Betrieb mit 78 Leuten und ohne IT-Abteilung war da kaum etwas brauchbar dabei.
Irgendwann saß ich allein im Büro, der Verordnungstext stand noch offen auf dem Bildschirm, draußen war es längst still geworden. Nur das gedämpfte Rauschen der Lüftung war noch zu hören, bis auch das aufhörte, weil wirklich alle gegangen waren, und ich hatte das Gefühl, keinen einzigen Satz davon wirklich verstanden zu haben.
Geholfen hat mir am Ende ein Infoabend der IHK zu Düsseldorf am Ernst-Schneider-Platz, wo ein Referent die Materie so erklärt hat, dass ich endlich anfangen konnte, sie meinen Kollegen weiterzugeben, statt sie nur selbst zu konsumieren. Nicht noch mehr Theorie hat den Unterschied gemacht, sondern jemand, der die Praxis von KMU aus eigener Erfahrung kannte.
Die Grenze zum Hochrisiko-System
Die zweite Frage landet fast jede Woche in meinem Postfach: Wo hört harmlose Textarbeit auf, und wo beginnen die Anforderungen des AI Acts für Hochrisiko-Systeme? Meine Faustregel: Sobald ein Tool über Menschen entscheidet — bei Bewerbungen, bei Leistungsbeurteilung, bei Beförderungen — ist die Schwelle überschritten, selbst wenn es nur ein Zusatzfeature in einer größeren Software ist. Newsletter glätten oder Aushänge entwerfen fällt da nicht drunter, solange niemand anhand der Ausgabe über eine Person entscheidet.
Schwierig wurde es, als ich einem Produktionsleiter erklären wollte, warum ein Sprachmodell manchmal überzeugend klingenden Unsinn produziert. Verglichen habe ich es mit einem Fräskopf, der perfekt aussieht, aber unvorhersehbar zwei Millimeter abweicht, und er hat mich nur verständnislos angeschaut, weil er dachte, die Software sei schlicht defekt.
Menschliche Aufsicht über solche Systeme bleibt trotzdem Pflicht, egal wie gut die Erklärung ankommt. Oliver Franke, ein freiberuflicher KI-Compliance-Coach, mit dem ich mich gelegentlich austausche, erklärt genau das am liebsten mit einer Analogie aus dem Straßenverkehr: Ein Assistenzsystem darf lenken, aber die Hände müssen am Steuer bleiben. Dieses Bild ist bei meinen Kollegen besser angekommen als meine Fräskopf-Nummer.
Wie wir KI-Tools für die interne Kommunikation einführen, ohne die IT zu brauchen
Dritte häufige Frage: Wie schult man 78 Leute für die KI-Kompetenz, die der AI Act verlangt, wenn weder Budget noch IT-Kapazität für eine große Lösung da sind? Bei uns bestand der Dreh darin, in Köpfe zu investieren statt in zusätzliche Software.
Ein paar Schlüsselpersonen aus Verwaltung und Fertigung haben wir zum KI-Führerschein angemeldet. Den aktuellen Preis dafür solltest du direkt beim Anbieter prüfen, weil sich solche Angebote öfter anpassen. Für uns war der Kurs deshalb die Rettung, weil er genau die praktischen Fragen beantwortet hat, die mir vorher gefehlt haben: welches Tool ist sicher, und wie schreibe ich einen Prompt, ohne Firmendaten preiszugeben.
Danach kamen Kolleginnen und Kollegen von sich aus zu mir und fragten, ob sie einen Text für die Sicherheitseinweisung mit einem bestimmten Tool bearbeiten dürfen — genau das war das Ziel. So haben wir nach und nach gelernt, wie wir KI-Schreibassistenten im Büro nutzen können, ohne dass unser Know-how als Zulieferer irgendwo im Netz landet.
Eine klare Nutzungsrichtlinie, die genau festhält, welche Tools für welche Aufgaben freigegeben sind, war am Ende wichtiger als jede Software-Lizenz. Wenn ein Aushang komplett von einem Sprachmodell formuliert wurde, kennzeichnen wir das inzwischen auch — nicht weil es jemand verlangt hat, sondern weil es für die Belegschaft nachvollziehbarer ist, woher ein Text kommt.
Muss der Betriebsrat mitreden?
Die Frage, die mich am meisten zum Nachdenken gebracht hat, kam nicht von einer HR-Kollegin, sondern von einem Leser: Christian Weber, Betriebsratsvorsitzender in einem Lebensmittelbetrieb im Ruhrgebiet, der mir geschrieben hat, nachdem ich einen früheren Eintrag über unsere interne Einbindung veröffentlicht hatte. Er denkt jeden Vorschlag konsequent von der Seite der Mitarbeitenden her und hat mir freundlich, aber bestimmt widersprochen, als ich schrieb, eine Positiv-Liste allein reiche fürs Erste: Wer entscheidet eigentlich, was auf diese Liste kommt, und haben die Betroffenen dabei ein Wort mitzureden?
Recht hat er damit, dass Mitbestimmung bei der Einführung solcher Tools kein nettes Extra ist, sondern ernsthaft mitgedacht werden muss, sobald es um Arbeitsabläufe oder gar Kontrolle geht. Bei uns gibt es noch keinen eigenen Betriebsrat, aber seine Nachricht hat mich dazu gebracht, jede neue Tool-Freigabe seitdem offener in der Teamrunde zu besprechen, statt sie einfach zu verkünden.
Was ich jedem HR-Team ohne IT-Unterstützung rate
Was bleibt, wenn ich die ganzen Fragen zusammenfasse? Drei Dinge, in dieser Reihenfolge wichtig: Transparenz schlägt Verbot, weil Verbote ohnehin nur dazu führen, dass heimlich weitergemacht wird, also lieber zeigen, wie ein Tool sicher genutzt wird, statt nur zu sagen, was verboten ist. Sprich die Sprache der jeweiligen Abteilung statt IT-Kauderwelsch, und nimm Beispiele aus deren Arbeitsalltag, nicht aus einem Lehrbuch. Und investiere eher in Köpfe als in zusätzliche Software, weil ein Team, das versteht, worauf es ankommt, zuverlässiger ist als jede technische Sperre.
Fehlt dir dafür das Basiswissen, war der KI-Führerschein für uns der Anker, aus dem ständigen Gefühl des Unwissens herauszukommen, und wir nutzen die Zertifizierung inzwischen sogar, um unser Image als moderner Arbeitgeber zu stärken. Schau es dir an, bevor der nächste Newsletter mit einem unguten Gefühl im Bauch rausgeht, und frag im Zweifel trotzdem eine Fachanwältin für IT-Recht, bevor du ein kritisches System einführst — ich bin schließlich auch nur die HR-Managerin, die versucht, den Überblick zu behalten.